Въведение
Статията описва възможностите и архитектурните особености на облачната платформа Citrix Cloud и набора услуги Citrix Workspace. Тези решения са централният елемент и основата за реализиране на концепцията за цифрови работни места (digital workspace) от компанията Citrix.
В настоящата статия се опитах да разбера и формулирам причинно-следствените връзки между облачните платформи, услугите и абонаментите на Citrix, описанията на които в откритите източници на компанията (citrix.com и docs.citrix.com) понякога изглеждат много неясни. Облачните технологии – по друг начин явно не могат! Струва си да се отбележи, че архитектурата и технологиите са разкрити по обща линия в разумен обем. Трудности възникват в разбирането на йерархичната взаимовръзка между услугите и платформите:
- коя платформа е основна – Citrix Cloud или Citrix Workspace Platform?
- в коя от посочените по-горе платформи се включват множество услуги на Citrix, необходими за изграждането на инфраструктура за цифрови работни места?
- колко струва това удоволствие и в какви варианти може да се получи?
- възможно ли е да се реализират всички функции на digital workspace Citrix без използване на Citrix Cloud?
Отговорите на тези въпроси и запознаване с решенията на Citrix за цифрови работни места са под кат.
Citrix Cloud
Citrix Cloud е облачна платформа, в която са разположени всички услуги, необходими за организиране на цифровите работни места. Тази платформа се управлява директно от компания Citrix, която също така осигурява необходимото поддържане (достъпност на услугите – не по-малко от 99,5% на месец).
Клиентите на компания Citrix в зависимост от избрания абонамент (пакет услуги) получават достъп до определен набор от услуги по модела SaaS. За тях Citrix Cloud служи като облачна конзола за управление на цифровите работни места на компанията. Citrix Cloud има архитектура за много наемодатели, клиентите и техните инфраструктури са изолирани помежду си.
Citrix Cloud играе ролята на контролен панел (control plane), където се хостват множество облачни услуги на Citrix, включително служебни и управляващи услуги за инфраструктурата на digital workspace. Data plane, която включва потребителски приложения, работни плотове и данни, се намира извън Citrix Cloud. Единственото изключение е Secure Browser Service, предоставян изцяло по облачна модел. Плоскостта на данните може да бъде разположена в дата център на клиента (on-premises), дата център на доставчика на услуги, хипер-облаци (AWS, Azure, Google Cloud). Възможни са смесени и разпределени решения, при които данните на клиента са в различни площадки и облаци, но управлението им се осъществява централизирано от Citrix Cloud.
Този подход предоставя редица очевидни предимства за клиентите:
- свобода на избор на площадка за разполагане на данните;
- възможност за изграждане на хибридна разпределена инфраструктура, предвиждаща множество разполагания при различни доставчици, в няколко облака и on-premises;
- липса на пряк достъп до потребителските данни от страна на Citrix, тъй като те се намират извън Citrix Cloud;
- възможност самостоятелно да определите необходимото ниво на производителност, отказоустойчивост, надеждност, конфиденциалност, цялостност и достъпност на данните; след това да подберете съответните площадки за разполагане;
- липса на необходимост от разполагане и поддръжка на множество услуги за управление на цифровите работни места, тъй като всички те се намират в Citrix Cloud и представляват нежелана задача за Citrix; в резултат - намаляване на разходите.
Citrix Workspace
Citrix Workspace е концепция, която е трансцендентална, основополагаща и всеобхватна. Нека да разберем по-подробно какво я характеризира и защо.
Общо взето, Citrix Workspace олицетворява концепцията за цифрови работни места от компанията Citrix. Това е едновременно решение, услуга и набор от услуги за създаване на интегрирани, безопасни, удобни и управляеми работни места.
Потребителите получават възможност за безпроблемно SSO за бърз достъп до приложения/услуги, десктопи и данни от единна конзола на всяко устройство за продуктивна работа. Те с радост могат да забравят за множеството акаунти, пароли и трудностите с намирането на приложения (ярлыци, стартово меню, браузъри – всичко на различни места).
ИТ отделът получава инструменти за централно управление на услугите и клиентските устройства, осигуряване на сигурност, разграничава достъпа, мониторинг, обновяване и оптимизация на мрежовото взаимодействие, аналитика.
Citrix Workspace позволява обединен достъп до следните ресурси:
- Citrix Virtual Apps and Desktops – виртуализация на приложения и десктопи;
- Уеб приложения;
- Облачни SaaS приложения;
- Мобилни приложения;
- Файлове в различни хранилища, включително облачни.
Достъпът до ресурсите на Citrix Workspace се осъществява чрез:
- Стандартен браузър — поддържат се Chrome, Safari, MS IE и Edge, Firefox
- или „родно“ клиентско приложение — Citrix Workspace App.
Достъпът е възможен от всички популярни клиентски устройства:
- Настолни компютри с Windows, Linux, MacOS и дори Chrome OS;
- Мобилни устройства с iOS или Android.
Citrix Workspace Platform е част от многото облачни услуги на Citrix Cloud, предназначени за организиране на digital workspace. Струва си да се отбележи, че Workspace включва повечето услуги, налични в Citrix Cloud, за които ще разгледаме по-подробно по-късно.
По този начин крайните потребители получават функционалността на цифровите работни места на любимите си клиентски устройства чрез Workspace App или неговата браузърна версия (Workspace App за HTML5). За постигане на тази функционалност Citrix предлага Workspace Platform в форма на набор от облачни услуги, управлявани от админите на компанията чрез Citrix Cloud.
Citrix Workspace е наличен в : Standard, Premium, Premium Plus. Те се различават по количеството услуги, включени в пакета. Освен това, има възможност за закупуване на някои услуги поотделно, извън пакета. Например, основната услуга Virtual Apps and Desktops е включена само в пакета Premium Plus, а отделната ѝ цена е по-висока от тази на пакета Standard и почти равна на Premium.
Изглежда, че Workspace е многостранен концепт, който включва клиентското приложение – Workspace App, облачната платформа (нейната част) – Workspace Platform, името на различните пакети услуги, както и концепцията за цифрови работни места от Citrix в цялост.
Архитектура и системни изисквания
Условно в структурата на Digital Workspace от компанията Citrix можем да выделим 3 области:
- Множество клиентски устройства с приложението Workspace App или браузърен достъп до цифровите работни места.
- Самата Workspace Platform в облака Citrix Cloud, която съществува някъде в интернет на домейна cloud.com.
- Локации на ресурси (resource location) — собствени или наети площадки, частни или публични облаци, в които се намират ресурси с приложения, виртуални десктопи и данни на клиентите, публикувани в Citrix Workspace. Това е т.нар. data-plane, за който споменахме по-горе. Напомням, че един клиент може да има няколко resource location.
Примери за ресурси могат да бъдат хипервизори, сървъри, мрежови устройства, домейни AD и други елементи, необходими за предоставяне на услугите на потребителите за цифрови работни места.
Разпределената инфраструктура може да включва:
- няколко ресурси в собствените дата центрове на клиента,
- разположения в публични облаци,
- малки разположения в отдалечени филиали.
При планирането на локации трябва да се вземат предвид:
- близостта на потребителите, данните и приложенията;
- възможността за мащабируемост, включително осигуряване на бързо увеличаване и свиване на мощностите;
- изискванията за сигурност и регулиране.
Комуникацията между Citrix Cloud и ресурсните локации на клиента се осъществява чрез компоненти, наречени Citrix Cloud Connector. Тези компоненти позволяват на клиента да се фокусира върху управлението на ресурсите, предоставяни на потребителите, и да забрави за управлението на служебните и контролни услуги, които вече са разположени в облака и се поддържат от Citrix.
За балансировка на натоварването и отказоустойчивост, е препоръчително да бъдат разположение не по-малко от два Cloud Connector в всяка локация на ресурсите. Cloud Connector може да бъде инсталиран на отделна физическа или виртуална машина с Windows Server (2012 R2 или 2016). Предпочитано е да се разполагат във вътрешната мрежа на локацията на ресурсите, а не в DMZ.
Cloud Connector аутентифицира и криптира трафика между Citrix Cloud и локацията на ресурсите чрез https, стандартно – TCP порт 443. Допускат се само изходящи сесии – от Cloud Connector към облака, входящи връзки са забранени.
Citrix Cloud изисква наличието на услуга Active Directory (AD) в инфраструктурата на клиента. AD играе ролята на основен IdAM доставчик и е необходима за авторизация на достъпа на потребителите до ресурсите на Workspace. Cloud Connector-ите трябва да имат достъп до AD. За отказоустойчивост, добра практика е да има по двойка контролери на домейн във всяка локация на ресурсите, които да взаимодействат с Cloud Connector-ите на съответната локация.
Услуги на Citrix Cloud
Сега е време да се спрем на основните услуги на Citrix Cloud, които лежат в основата на платформата Citrix Workspace и позволяват на клиентите да разгръщат напълно функционални цифрови работни места.
Нека разгледаме предназначението и функционалността на тези услуги.
Virtual Apps and Desktops
Това е основната услуга на Citrix Digital Workspace, която позволява терминаен достъп до приложения и напълно функционален VDI. Поддържа виртуализация на приложения и десктопи с Windows и Linux.
Като облачна услуга Citrix Cloud, услугата Virtual Apps and Desktops съдържа същите компоненти, каквито традиционният (необлачен) Virtual Apps and Desktops, както е показано на изображението по-долу. Разликата е, че всички управляващи компоненти (control plane) в случая на услугата се разполагат в облака на Citrix Cloud. Клиентът вече няма нужда да разгръща и поддържа тези компоненти, да предоставя изчислителни ресурси за тях, това е задача на компанията Citrix.
На своя страна, клиентът в локацията на ресурсите трябва да разгръща следните компоненти:
- Cloud Connector-и;
- Контролери на домейн AD;
- Virtual Delivery Agents (VDAs);
- Хипервизори – обикновено те са на разположение, но понякога се случва да се обходят с физически средства;
- Опционални компоненти — Citrix Gateway и StoreFront.
Всички изброени компоненти, с изключение на Cloud Connector, се поддържат от клиента самостоятелно. Това е логично, тъй като тук се намира data-plane, особено що се отнася до физическите възли и хипервизорите с VDA, където се разполагат директно клиентските приложения и работни станции.
Cloud Connector трябва да бъдат инсталирани само от страна на клиента; това е много проста процедура, изпълнявана от конзолата на Citrix Cloud. Нататъшната им поддръжка се осъществява автоматично.
Контрол на достъпа
Тази услуга предоставя следните възможности:
- SSO (еднократно влизане) за голям набор от популярни SaaS приложения;
- Филтриране на достъпа до интернет ресурси;
- Мониторинг на активността на потребителите в интернет.
SSO за клиенти към SaaS услуги чрез Citrix Workspace е по-удобна и безопасна алтернатива в сравнение с обикновения достъп през браузър. Списъкът на поддържаните SaaS приложения е доста голям и постоянно се разширява.
Филтрирането на достъпа до интернет може да се конфигурира на базата на ръчно създадени бели или черни списъци на сайтове. Освен това, се поддържа ограничаване на достъпа по категории сайтове, на базата на обширни обновяеми търговски списъци на URL адреси. Потребителите могат да бъдат ограничени в достъпа до категории сайтове като социални мрежи, пазаруване, за възрастни, зловреден софтуер, торенти, прокси и т.н.
Освен разрешение на достъпа до сайтове/SaaS директно или блокиране на достъпа, имате възможност да пренасочите клиентите към Secure Browser. Тоест, за намаляване на рисковете, достъпът до избраните категории/списъци интернет ресурси ще бъде възможен само чрез Secure Browser.
Услугата също предоставя подробна аналитика за мониторинг на активността на потребителите в интернет: посещавани сайтове и приложения, опасни ресурси и атаки, блокиран достъп, обеми на изтеглени/качени данни.
Secure Browser
Позволява да се публикува интернет браузър (Google Chrome) за потребителите на Citrix Workspace под формата на виртуално приложение. Secure Browser е SaaS услуга, за управлението и поддръжката на която отговаря компанията Citrix. Тя е изцяло разположена в Citrix Cloud (включително data-plane), и клиентът не трябва да я разгръща и поддържа в собствените си ресурси.
Citrix отговаря за предоставянето на ресурси в своето облако под VDA, на които се публикуват браузери за клиентите, осигурява сигурността и обновлението на операционната система и самите браузери.
Достъпът на клиентите до Secure Browser се осъществява чрез Workspace app или клиентския браузер. Сесията се криптира по TLS. За да ползва услугата, клиентът не трябва да сваля и инсталира нищо.
Уебсайтовете и приложенията, стартирани чрез Secure Browser, работят в облака; клиентът само получава изображение на терминалната сесия, без нищо да се изпълнява на крайното устройство. Това значително повишава нивото на сигурност и защита от браузерни атаки.
Свързването с услугата и управлението й става през панела на клиента Citrix Cloud. Свързването се извършва с няколко клика:
Управлението също е относително простичко и включва задаване на политики и бели списъци:
Политиката позволява регулиране на следните параметри:
- Clipboard – позволява включването на функцията копи-паста в браузерната сесия;
- Printing – възможност за запазване на уебстраници на клиентското устройство в PDF формат;
- Non-kiosk – по подразбиране е включена, позволява пълноценна работа с браузера (няколко таба, адресна лента);
- Region failover – възможност за рестартиране на браузера в друг регион Citrix Cloud при падение на основния регион;
- Client drive mapping – възможност за монтиране на диска на клиентското устройство за сваляне или качване на файлове в браузерната сесия.
Белите списъци (Whitelists) позволяват задаване на списък с сайтове, до които клиентите ще имат достъп. Достъпът до ресурси извън този списък ще бъде забранен.
Content Collaboration
Тази услуга осигурява обединен достъп на потребителите на Workspace до файлове и документи, разположени на вътрешни ресурси на клиента (on-premises) и поддържани от публични облачни услуги. Те могат да бъдат лични папки на потребителя, корпоративни мрежови дялове, документи от SharePoint или облачни хранилища като OneDrive, DropBox или Google Drive.
Услугата предоставя SSO за достъп до данни на всички типове хранилища. Потребителите на Citrix Workspace получават сигурен достъп до работни файлове от устройствата си, не само в офиса, но и отдалечено, без допълнителни затруднения.
Сътрудничество в съдържанието предлага следните възможности за работа с данни:
- обмен на файлове между ресурсите на Workspace и клиентското устройство (изтегляне и качване),
- синхронизация на файловете на потребителя на всички устройства,
- споделен достъп до файлове и тяхната синхронизация за няколко потребители на Workspace,
- настройка на права за достъп до файлове и папки за други потребители на Workspace,
- искания за достъп до файлове, генериране на линкове за безопасно качване (upload) на файлове.
В допълнение, се осигуряват допълнителни механизми за защита:
- достъп до файлове чрез еднократни пароли,
- шифроване на файловете,
- осигуряване на споделени файлове с водни знаци (watermark).
Управление на крайни точки
Тази услуга предоставя необходимата функционалност за управление на мобилни устройства (Mobile Device Management - MDM) и приложения (Mobile Application Management - MAM) за цифровите работни места. Citrix я позиционира като SaaS-EMM решение – Управление на мобилността на предприятията като услуга.
Функционалността на MDM позволява:
- разпространение на приложения, политики за устройства, сертификати за свързване с ресурсите на клиента,
- управление на устройствата,
- блокиране и извършване на пълно или частично изтриване (wipe) на устройствата.
Функционалността на MAM позволява:
- осигуряване на сигурността на приложенията и данните на мобилни устройства,
- доставяне на корпоративни мобилни приложения.
От гледна точка на архитектурата и принципа на предоставяне на услугата на клиента, Управление на крайните точки много прилича на описания по-горе облачен вариант на Виртуални приложения и десктопи. Control Plane и образуващите я услуги се намират в Citrix Cloud, а техният надзор се осъществява от Citrix, което позволява да се разглежда тази услуга като SaaS.
Data Plane в локациите на ресурсите на клиента включва:
- Cloud Connector-и необходими за взаимодействие с облака на Citrix,
- Citrix Gateway-и, които осигуряват сигурен отдалечен достъп на потребителите до вътрешните ресурси на клиента (приложения, данни) и функционалност микро-VPN,
- Active Directory, PKI
- Exchange, файлове, виртуални приложения и десктопи.
Gateway
Citrix Gateway осигурява следната функционалност:
- шлюз за отдалечен достъп – сигурно свързване с корпоративните ресурси за мобилни и отдалечени потребители извън защитения периметър,
- IdAM-провайдер (Управление на идентичностите и достъпа) за осигуряване на SSO към корпоративните ресурси.
Под корпоративните ресурси в този контекст следва да се разбира не само виртуални приложения и десктопи, но и многобройни SaaS-приложения.
За оптимизиране на мрежовия трафик и получаване на функционалности на micro VPN е необходимо разгръщането на Citrix Gateway на всяко от местоположенията на ресурсите, обикновено в DMZ. В такъв случай предоставянето на необходимите ресурси и поддръжката лягат на раменете на клиента.
Алтернативен вариант – използването на Citrix Gateway под формата на услуга в Citrix Cloud, при който клиентът не е нужно да разгръща и поддържа нищо у дома, тъй като Citrix го прави в собственото си облако.
Analytics
Това е аналитична услуга на Citrix Cloud, интегрирана с всички описани по-горе облачни услуги. Тя е предназначена за събиране на данни, генерирани от услугите на Citrix, и тяхното анализиране чрез вградени механизми за машинно обучение. При това се вземат предвид метрики, свързани с потребителите, приложенията, файловете, устройствата и мрежата.
В резултат се формират отчети относно сигурността, производителността и потребителските операции.
Освен формирането на статистически отчети, Citrix Analytics може да действа проактивно. Това включва формиране на профили на нормално поведение на потребителите и откриване на аномалии. Ако потребителят започне да използва приложението по нестандартен начин или активно да споделя данни, той и устройството му могат да бъдат автоматично блокирани. Същото ще се случи при достъп до опасни интернет ресурси.
Вниманието е насочено не само към сигурността, но и към производителността. Аналитиката позволява да се наблюдават и бързо решават проблеми, свързани с дългия вход на потребителите и мрежовите закъснения.
Заключение
Запознахме се с архитектурата на облака Citrix, платформата Workspace и нейните основни услуги, необходими за организиране на инфраструктурата на цифровите работни места. Трябва да се отбележи, че разгледахме далеч не всички услуги на Citrix Cloud, а се ограничавахме до основния комплект за организиране на digital workspace. Услугите на облака Citrix също включват мрежови инструменти, допълнителни функции за работа с приложения и работни места.
Трябва да се отбележи, че основната функционалност на цифровите работни места може да бъде внедрена и без Citrix Cloud, изцяло on-premises. Основният продукт Virtual Apps and Desktops остава наличен в класически вариант, при който клиентът внедрява и управлява не само VDA, но и всички управляващи услуги на своята платформа самостоятелно; в такъв случай не са необходими Cloud Connector-и. Същото важи и за Endpoint Management – неговият on-premises аналог се нарича XenMobile Server, но в облачния вариант той е малко по-функционален. Част от възможностите на Access Control клиентът също може да реализира на своята платформа. Функционалността на Secure Browser може да бъде реализирана on-premises, като клиентът има избор на браузър.
Стремежът да се разгръща всичко на собствената платформа е полезен от гледна точка на сигурността, контрола и санкционното недоверие към буржоазните облаци. Въпреки това, без Citrix Cloud функционалността на Content Collaboration и Analytics ще бъде напълно недостъпна. Функционалността на другите решения на Citrix on-premises, както беше споменато по-горе, може да отстъпи на облачното им изпълнение. И най-важното – площта за управление ще трябва да се поддържа от вас и да се администрира самостоятелно.
Полезни връзки:
, в т.ч. Citrix Cloud
– технически видеа, статии и диаграми
Източник: habr.com
